Why Neural Structural Obfuscation Can't Kill White-Box Watermarks for Good!

1. O Problema: Ameaça da Ofuscação Estrutural Neural (NSO)

O artigo aborda uma vulnerabilidade crítica em esquemas de marcação d'água de caixa branca (white-box watermarks) para modelos de aprendizado profundo.

• Contexto: As marcas d'água de caixa branca verificam a propriedade intelectual de um modelo acessando seus parâmetros internos (pesos) ou ativações intermediárias. Muitas dessas técnicas assumem implicitamente que a estrutura do modelo (a ordem dos canais e neurônios) permanece estável.
• A Ameaça (NSO): Em 2023, Yan et al. introduziram a Ofuscação Estrutural Neural (NSO). Esta é uma família de transformações de "custo zero" que injeta neurônios ou canais falsos (dummy) na rede.
  • Mecanismo: O NSO utiliza três primitivas principais:
    1. nso_zero: Injeta canais com pesos de entrada/saída zero.
    2. nso_clique: Duplica pesos de entrada e define pesos de saída que somam zero (cancelamento mútuo).
    3. nso_split: Substitui um canal original por múltiplos canais escalados que, somados, equivalem ao original.
  • Impacto: Essas modificações preservam a equivalência funcional (o modelo continua a realizar a tarefa com a mesma precisão), mas destroem a verificação da marca d'água ao embaralhar os índices dos canais. Como os verificadores dependem de posições específicas de parâmetros, a marca d'água torna-se indetectável, mesmo estando funcionalmente presente.
• Limitação das Defesas Anteriores: Defesas existentes focavam em edições de valor (como fine-tuning ou poda) e falhavam em lidar com a reescrita estrutural global necessária em arquiteturas modernas de grafos (como ResNet, Inception, DenseNet), onde edições locais quebram a consistência em ramificações e fusões (residual add, concat).

2. Metodologia: O Framework CANON

Os autores propõem o CANON (um framework de recuperação e canonalização) para reverter o ataque NSO e restaurar a verifiabilidade da marca d'água. A abordagem baseia-se em uma mudança de paradigma: tratar o NSO não como uma remoção irreversível, mas como uma transformação de base de canais que pode ser revertida através de restrições de consistência de grafo.

A. Modelo de Ameaça Revisitado: Produtor-Consumidor

O NSO é reformulado como um modelo de ameaça consistente com o grafo.

• Consistência: Para manter a equivalência funcional em arquiteturas modernas, qualquer alteração na estrutura de um "produtor" (ex: uma camada Conv) deve ser absorvida consistentemente por todos os seus "consumidores" downstream (ex: camadas subsequentes, operações de soma residual ou concatenação).
• Restrição Chave: Canais injetados (dummy) devem satisfazer identidades de cancelamento ou agregação em todos os pontos de consumo ao longo do grafo.

B. O Algoritmo CANON

O CANON opera em duas etapas principais para recuperar uma representação canônica compacta:

1. Inferência de Redundância (Probing):

   • O sistema executa um conjunto de dados de sondagem (probe set) no modelo atacado.
   • Coleta assinaturas de ativação por canal (bits de atividade e resumos escalares).
   • Agrupa canais com assinaturas idênticas e refina esses grupos usando estimativas de proporcionalidade (escalares $\alpha$) para distinguir entre canais reais duplicados e canais falsos (dummy).
   • Decide se um grupo deve ser descartado (se o efeito combinado nos consumidores for zero) ou fundido.

2. Reescrita Global Consistente (Graph-Consistent Rewrites):

   • Em vez de tentar detectar redundância localmente em cada camada, o CANON infere uma Transformação de Canal ($M$) na borda do produtor.
   • Aplica essa transformação globalmente a todos os consumidores lineares downstream ($W_{new} = W_{old} \cdot M$).
   • Sincronização de Estrutura:
     • Residual Add: Garante que ambos os operandos da soma tenham layouts de canais idênticos após a recuperação.
     • Concatenação (Cat): Compõe transformações por ramo em uma matriz diagonal em blocos e propaga para os consumidores subsequentes.
   • O resultado é um modelo compacto ($\hat{\theta}$) onde os canais falsos foram removidos e os canais reais foram reindexados para uma base canônica, restaurando a estrutura esperada pelo verificador.

C. Certificação de Equivalência

O framework inclui um protocolo de verificação em dois níveis:

• Nível 1 (Certificado de Equivalência de Referência): Compara os pesos recuperados com o modelo original (se disponível), verificando se eles pertencem à mesma classe de equivalência (permutação e escala positiva).
• Nível 2 (Semelhança Sensível ao Ataque): Se o Nível 1 falhar, usa uma métrica de similaridade conservadora para validar a recuperação.

3. Contribuições Principais

1. Generalização do Modelo de Ameaça: Reformularam o NSO como um modelo de ameaça consistente com o grafo, capturando restrições de fan-out, adição residual e concatenação de canais, que eram ignoradas em formulações anteriores baseadas em camadas locais.
2. Prova de Recuperabilidade: Demonstraram construtivamente que a ofuscação do estilo NSO induz redundância estruturada e globalmente restrita. Isso torna possível identificar canais falsos e reverter a ofuscação sem acesso aos detalhes de construção do atacante ou ao modelo original (embora o original ajude na certificação).
3. Framework CANON: Apresentaram o primeiro framework de ponta a ponta que derrota o NSO por construção, recuperando uma base de canais consistente com o grafo e sincronizando layouts globalmente.
4. Invalidação Empírica da "Remoção de Custo Zero": Provaram que o NSO não é uma estratégia de remoção permanente de marcas d'água. Sob ataques compostos e fortes, o CANON restaura a verifiabilidade com 100% de sucesso.

4. Resultados Experimentais

Os autores avaliaram o CANON em quatro arquiteturas modernas (ResNet-18, EfficientNet, InceptionV3, DenseNet) e nove esquemas de marca d'água de caixa branca (baseados em pesos, ativações e passaportes).

• Recuperação de Utilidade: O CANON recuperou a marca d'água sem causar nenhuma perda de precisão na tarefa ($\Delta acc = 0$). O modelo atacado e o recuperado mantêm a mesma funcionalidade.
• Taxa de Sucesso: Em todos os cenários testados, incluindo ataques compostos (mistura de primitivas) e altas taxas de injeção ($\rho = 0.2$ e $\rho = 0.5$), o CANON alcançou 100% de sucesso na recuperação da verificação da marca d'água.
• Certificação Tier-1: Em todos os testes, o certificado de equivalência de referência passou, confirmando que os pesos recuperados correspondem exatamente ao modelo original (dentro das simetrias permitidas).
• Falsos Positivos: Ao aplicar o CANON em modelos limpos (não atacados), não houve nenhuma alteração estrutural, poda de parâmetros ou degradação de precisão, demonstrando que a defesa é segura e conservadora.
• Custo Computacional: O tempo de recuperação é dominado pela complexidade do ataque (número de canais injetados). Ataques compostos são mais caros, mas o tempo de execução permanece na escala de segundos (geralmente < 1 minuto), o que é aceitável para um processo de verificação de propriedade intelectual.

5. Significado e Conclusão

O trabalho demonstra que a ofuscação estrutural neural, embora eficaz em quebrar verificadores baseados em índices, não é uma solução definitiva para remover marcas d'água de caixa branca.

• Mudança de Paradigma: O papel muda de "como detectar canais falsos" para "como reverter transformações de base de canais mantendo a consistência do grafo".
• Resiliência: A existência de restrições de consistência de sinal em redes neurais modernas (necessárias para a equivalência funcional) cria uma "pegada" que permite a recuperação.
• Implicação Prática: Proprietários de modelos podem confiar em esquemas de marca d'água de caixa branca mesmo na presença de adversários que tentam ofuscar a estrutura, desde que um processo de recuperação como o CANON seja utilizado durante a verificação. O NSO falha como uma estratégia de eliminação permanente porque a funcionalidade do modelo exige que a ofuscação seja revertível.

Em resumo, o CANON transforma o que parecia ser uma "remoção de custo zero" em um problema de recuperação estrutural solúvel, garantindo a robustez contínua da propriedade intelectual em modelos de IA.